HTTP Strict Transport Security

转载 2012年01月31日 13:04:30

它的作用是,对某些站点,当用户在浏览器输入不带协议的网址的时候,自动识别协议为https,而不是http。

例如用户输入paypal.com,浏览器会自动访问https://paypal.com,而不是http://paypal.com。当然,即使你的浏览器不支持HSTS,paypal也会自动跳转到https。

那么如何让自己的站点支持HSTS呢?只要在自己的站点的HTTPS响应的HTTP头里,加上下面这行即可

Strict-Transport-Security: max-age=16070400; includeSubDomains

当浏览器看到这个HTTP头,则会把当前站点加入HSTS列表。max-age和includeSubDomains的作用你们懂的。

根据Chrome的说明,当前支持HSTS的有Chrome和Firefox(版本>=4),我并没有去测试。

另外,Chrome自带一个默认的HSTS列表,paypal.com、lastpass.com、market.android.com等网站都列在里面。当前(Chrome16)这个列表是硬编码在Chrome的源代码(http://src.chromium.org/viewvc/chrome/trunk/src/net/base/transport_security_state.cc?view=log)里的。将来可能会把这个列表类似safe-browsing那样让不同的浏览器共享。

如果你想把自己的站点添加进Chrome的这个列表里,可以电邮

其实,大部分对安全有要求的站点,都会在服务器端自动识别协议,强制跳转到https。对这些站点来说,HSTS的作用只是让你少了一次HTTP请求而已。而在某些情况下,由于Set-Cookie、浏览器版本以及安全设置的因素,导致这个HTTP会发送HTTPS下所设置的cookie,存在安全隐患。除此之外,HSTS似乎没什么作用了。

另外我看了一下,alipay是没有发送Strict-Transport-Security头的。而paypal和lastpass都发送了这个头。

相关文章推荐

如何配置使用 HTTP 严格传输安全(HSTS)

HTTP 严格传输安全(HSTS)是一种安全功能,web 服务器通过它来告诉浏览器仅用 HTTPS 来与之通讯,而不是使用 HTTP。本文会说明如何在 Apache2、Nginx 和 Lighttpd...

HSTS - HTTP Strict Transport Security

https://en.wikipedia.org/wiki/HTTP_Strict_Transport_Security HTTP Strict Transport Security...

错误:app Transport Security has blocked a cleartext HTTP......

在Xcode7中,苹果将 http 协议改成了 https 协议,使用 TLS1.2 SSL加密请求数据,因此在模拟器上运行程序时,要是程序还是使用的 http 协议就会报下图中的错误: ...

App Transport Security has blocked a cleartext HTTP (http://) resource load since it is insecure 解决

做项目的时候经常会用到网络请求,因此AFNetworking这个插件可谓是非常好用,但是在升级之后,再用AFNetworking会报如下警告,表示不能对网络进行请求: App Transport Se...

App Transport Security has blocked a cleartext HTTP (http://) resource load since it is insecure

错误描述     App Transport Security has blocked a cleartext HTTP (http://) resource load since it is ...

Xcode7报App Transport Security has blocked a cleartext HTTP (http://) resource load since it is insec

关于Xcode7之后网络访问的权限

“App Transport Security has blocked a cleartext HTTP (http://) resource load since it is insecure. T

Xcode7运行一下代码时// 确定要访问的资源--URL NSURL *url = [NSURL URLWithString:@"http://m.baidu.com"]; // 建立...

关于iOS9中的App Transport Security相关说明及适配

转载自: http://my.oschina.net/vimfung/blog/494687 iOS9中新增App Transport Security(简称ATS)特性, 主要使到...

Fix iOS 9 App Transport Security Issues In Apache Cordova

The release of iOS 9 has caused a mess of problems in the Apache Cordova, Ionic Framework, and Phone...

The resource could not be loaded because the App Transport Security policy requires the use of a sec

iOS9 HTTP 不能正常使用的解决办法 The resource could not be loaded because the App Transport Security policy req...
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:深度学习:神经网络中的前向传播和反向传播算法推导
举报原因:
原因补充:

(最多只允许输入30个字)